Resumo:
O projeto de software de criptografia de código aberto LibreSSL lançou a versão oficial 4.4.0 em 22 de outubro de 2026. Esta é a primeira versão estável da série 4.4.x e também vem com o OpenBSD 8.0. A nova versão traz uma série de correções de segurança, melhorias de desempenho e atualizações de compatibilidade de plataforma, com foco na remoção do certificado raiz eMudhra com riscos de segurança, otimizando a eficiência de execução do algoritmo SHA-3 e corrigindo vários problemas no processamento de certificados TLS, DTLS e X.509.
Saiba mais:
https://www.libressl.org/
LibreSSL, originalmente lançado pelo projeto OpenBSD, é uma biblioteca de software de comunicação criptografada que se concentra na segurança e na simplicidade do código. Ele é derivado do código OpenSSL, mas durante o processo de desenvolvimento, algumas interfaces antigas e funções complexas são gradualmente removidas, e ajustes contínuos são feitos para segurança, manutenção e protocolos de criptografia modernos. LibreSSL não apenas fornece a base de criptografia para OpenBSD, mas também possui uma versão portátil que pode ser executada em vários sistemas operacionais, como Linux, FreeBSD, NetBSD, macOS e Windows.Uma das mudanças mais importantes na versão 4.4.0 é o ajuste do conjunto padrão de certificados raiz confiáveis. A equipe de desenvolvimento removeu o certificado raiz emSign ECC Root CA - G3 do eMudhra do arquivo de certificado cert.pem padrão porque algumas autoridades de certificação de nível inferior no sistema de certificação usavam chaves com força insuficiente. Por motivos de compatibilidade, os desenvolvedores também adicionaram certificados intermediários não afetados.
Este ajuste envolve o mecanismo de confiança do certificado em conexões HTTPS. Navegadores, sistemas operacionais e software de criptografia geralmente usam certificados raiz confiáveis para determinar se um certificado de site é emitido por uma organização confiável. Se um sistema de certificados tiver problemas de segurança, como força de chave insuficiente, os invasores poderão tirar vantagem dos pontos fracos para tentar falsificar certificados ou ignorar algumas verificações de confiança. Portanto, a remoção de certificados raiz arriscados pode ajudar a reduzir os riscos de segurança relacionados.
A equipe de desenvolvimento lembra especialmente que você precisa verificar o arquivo de certificado local durante a atualização. Como os arquivos cert.pem, openssl.cnf e x509v3.cnf existentes não são mais substituídos automaticamente ao reinstalar o LibreSSL, os usuários podem precisar verificar e mesclar manualmente as alterações do certificado se o gerenciador de pacotes não lidar automaticamente com a mesclagem de configurações. A equipe de desenvolvimento recomenda confirmar se a entrada do certificado raiz "CN=emSign ECC Root CA - G3" não está mais incluída em cert.pem.
Em termos de desempenho, o LibreSSL 4.4.0 melhora a implementação do algoritmo SHA-3 e adota métodos de otimização, como loops desenrolados e processamento intercalado para melhorar a eficiência de execução de cálculos relacionados. SHA-3 é um algoritmo hash criptográfico que pode ser usado para verificação de integridade de dados, assinaturas digitais e outros protocolos de segurança. Esta melhoria visa principalmente a própria implementação do algoritmo. A melhoria real do desempenho será afetada pela arquitetura do processador, pelo compilador e pela carga de trabalho específica.
A nova versão também melhora a compatibilidade de compilação e tempo de execução em diversas plataformas. No lado do macOS, o problema com a função de rede netcat (nc) foi corrigido e o suporte de compilação para macOS 27.0 foi adicionado. No ambiente Windows, a equipe de desenvolvimento corrigiu alguns problemas no compilador MSVC, incluindo o otimizador ARM64 gerando códigos de erro em códigos aritméticos de números inteiros grandes de tempo constante, e também melhorou as conexões de rede, leitura e gravação de arquivos e sincronização de threads na camada de compatibilidade do Windows.
Para Linux e outros sistemas semelhantes ao Unix, a nova versão melhora o suporte a assembly SHA na plataforma AArch64 e adiciona ou melhora configurações de implementação de assembly para RISC-V, MIPS e outras arquiteturas. Além disso, o sistema de compilação CMake agora usará opções de mitigação de segurança de compilador e vinculador consistentes com o método de compilação Autotools, tornando o software gerado por diferentes processos de compilação mais consistente em termos de reforço de segurança.
O LibreSSL 4.4.0 também contém uma série de correções em termos de implementação dos protocolos TLS e DTLS. A equipe de desenvolvimento melhorou a lógica de processamento do servidor TLS 1.3 quando ambas as partes não possuem um grupo criptográfico com suporte mútuo e corrigiu alguns problemas no processo de handshake. As melhorias relacionadas ao DTLS envolvem processamento de mensagens de handshake, gravação de números de sequência e filas de dados, com o objetivo de melhorar a confiabilidade da conexão e a consistência do processamento do protocolo.
A verificação do certificado X.509 é outra área importante de atualização. A nova versão corrige problemas com a resolução de nome de host URI em restrições de nome de certificado, incluindo o tratamento correto de literais de endereço IPv6 e evitando que informações de usuário especialmente construídas ignorem as verificações de nome de host. Além disso, a equipe de desenvolvimento também melhorou a lógica, como a verificação da cadeia de certificados, o endereço de e-mail e a verificação do nome do assunto, para reduzir ainda mais os riscos de segurança no processo de análise e verificação de certificados.
O LibreSSL 4.4.0 também corrige vários defeitos que podem causar problemas de segurança de memória, incluindo gravações fora dos limites, leituras fora dos limites, acessos de ponteiro nulo e liberação incorreta de memória em alguns buffers. A equipe de desenvolvimento também ajustou o mecanismo de tratamento de erros de algumas operações de criptografia para evitar que o programa continue a usar dados que não foram inicializados corretamente após uma falha.
Em termos de compatibilidade, a nova versão ajusta o grupo de troca de chaves preferencial TLS 1.3 em libtls para X25519MLKEM768. A combinação combina a tradicional troca de chaves de curva elíptica X25519 com o mecanismo de encapsulamento de chave pós-quântica ML-KEM, com o objetivo de fornecer recursos de segurança quântica à prova de futuro para conexões TLS. Isso não significa que todos os aplicativos que usam LibreSSL ativarão automaticamente a mesma configuração, o comportamento específico ainda depende de como o aplicativo chama libtls e de suas configurações de conexão.
Além disso, a equipe de desenvolvimento descontinuou uma interface de cadeia de certificados com um nome enganoso, tls_peer_cert_chain_pem(), e recomendou que os desenvolvedores usassem interfaces como tls_peer_cert_chain_verified_pem() ou tls_peer_cert_bundle_unverified_pem() para distinguir mais claramente entre dados de cadeia de certificados verificados e não verificados. O projeto também continua a limpar códigos antigos, removendo lógica de processamento de protocolos e interfaces legadas que não são mais necessárias.
O projeto LibreSSL afirmou que a nova versão dá continuidade ao objetivo de melhorar continuamente a segurança, a confiabilidade e a portabilidade do código, e dá as boas-vindas à comunidade para continuar a enviar comentários e sugestões de melhorias. Para mantenedores de sistemas e desenvolvedores de software, 4.4.0 não é apenas uma atualização de versão regular, mas também contém alterações de confiança de certificados e correções de segurança que requerem atenção.
Em geral, o foco do LibreSSL 4.4.0 não é introduzir um novo algoritmo de criptografia, mas fortalecer ainda mais a infraestrutura de criptografia existente, otimizar o desempenho de algoritmos comumente usados e melhorar a compatibilidade em diferentes sistemas operacionais e arquiteturas de processador. Para projetos de software que dependem do LibreSSL para estabelecer conexões TLS, verificar certificados ou processar dados criptografados, você deve verificar a compatibilidade da interface e a configuração do certificado local antes de atualizar e organizar os testes e a implantação de acordo com seu próprio ambiente.
Comentários